نرم‌افزارهای زیرساخت اینترنت در یک روز به سرعت خطرات امنیتی را افشا کردند، شامل PHP، Node.js و Go.

خبر Tapbit، ۲۲ اکتبر — چندین پروژه نرم‌افزاری زیرساخت اینترنت در یک روز به‌روزرسانی‌های امنیتی منتشر کردند، شامل اجرای کد از راه دور، دور زدن اعتبارسنجی گواهی TLS و خطرات اعتماد گواهی. از جمله:

PHP دو آسیب‌پذیری بحرانی، CVE-2026-109618 و CVE-2026-109619 را برطرف کرد که هر دو می‌توانند منجر به اجرای کد از راه دور بدون احراز هویت شده و محیط‌های PHP که درخواست‌های وب را پردازش می‌کنند، تحت تأثیر قرار دهند. نسخه‌های اصلاح شده شامل 8.5.12، 8.4.27، 8.3.36 و 8.2.35 هستند.

Node.js یک اطلاعیه منتشر کرد که ده آسیب‌پذیری را فهرست می‌کند، چهار مورد از آن‌ها با شدت بالا، شامل اجرای کد از راه دور ناشی از نوشتن خارج از محدوده در دیکودر Brotli، قطع نام DNS و دو مشکل دور زدن اعتبارسنجی نام میزبان گواهی TLS. نسخه‌های اصلاح شده 26.12.1، 24.22.1 و 22.23.4 هستند.

علاوه بر این، خطر مرتبط با crypto/x509 Go به عنوان CVE-2026-111943 ردیابی می‌شود، که توسط Red Hat با امتیاز CVSS 3.1 برابر 6.8 به عنوان «مهم» ارزیابی شده است. در شرایطی مانند موقعیت شبکه خاص و داشتن گواهی‌های مرتبط، مهاجم ممکن است یک سرور قانونی را جعل کرده و ارتباطات را رهگیری یا دستکاری کند. Go 1.26.10 و 1.27.3 لیست‌های مسدودسازی اضافه کرده‌اند تا اعتماد به گواهی‌های میانی آسیب‌دیده مربوطه را مسدود کنند.